令和7年度 春期 応用情報技術者試験 午後 問1 ランサムウェア被害の調査と再発防止
この問題は2025(R7)春 応用情報技術者 午後に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
学習ガイド
サプライチェーン攻撃によるランサムウェア被害を題材に、インシデント調査から再発防止までを問うセキュリティの問題です。委託先との接続を許可したFWルールが侵入経路となる構図を読み取り、バックアップデータへの被害の可能性や、設定変更だけでは防げない理由まで検討します。この記事では、攻撃者の視点でネットワーク図と許可ルールをたどる読み方を軸に、各設問の解答を字数内でまとめる練習をします。
この記事で押さえる論点
- インシデント調査の手法(デジタルフォレンジックス)を説明する
- FW許可ルールから侵入経路を特定する
- バックアップの保護や設定変更の限界を評価する
出題情報
- 出題
- 2025(R7)春 応用情報技術者 午後 問1
- 配点
- 20点満点
- 模範解答
- 公表(設問ごとに掲載)
出題趣旨・採点講評(IPA 公表)
昨今，サプライチェーンを構成する企業群の中から脆弱性のある企業のシステムを狙って攻撃を行い，そのシステムを起点としてサプライチェーン全体に被害を及ぼすサプライチェーン攻撃が発生している。本問では，サプライチェーン攻撃によるランサムウェア被害を題材として，インシデント発生原因の調査，侵入経路の特定及び再発防止策の立案についての基本的な知識を問う。
問1では，サプライチェーン攻撃によるランサムウェア被害を題材に，インシデント発生原因の調査，侵入経路の特定及び再発防止策の立案について出題した。全体として正答率は平均的であった。
問題本文
サイバー攻撃への対策に関する次の記述を読んで、設問に答えよ。
C社は首都圏に複数の販売店をもつ，中堅の中古車販売会社である。
C社はS県に複数の中古車販売店舗を展開するP社と業務提携しており，P社の中古車情報もC社の販売管理システムに登録した上で販売を行っている。
〔C社販売管理システムの概要〕
販売管理システムは，Webサーバ，アプリケーション（以下，APという）サーバ及びデータベース（以下，DBという）サーバから成り，C社及びP社の販売店は，Webサーバを経由して中古車情報や販売実績の登録を行う。C社の販売店の情報は，C社内のPC（以下，PC-Cという）から，APサーバの販売店情報登録ツール（以下，販売店ツールという）を利用して登録を行う。また，販売管理システムのWebサーバ，APサーバ及びDBサーバ（以下，C社各サーバという）のメンテナンスは，C社の社内システム担当が，社内システム用のPC（以下，PC-Sという）から管理者権限のあるID（以下，特権IDという）でC社各サーバにログインして実施している。
P社の販売店の情報は，P社従業員が，社内に設置したP社販売店情報登録用のPC（以下，PC-Pという）から，C社内に設置したP社販売店情報登録用のPC（以下，PC-Rという）にリモートデスクトップでログインし，販売店ツールを利用して登録を行う。P社は，P社従業員の自宅PC（以下，自宅PCという）からSSL-VPNを利用して，PC-Pにリモートデスクトップでログインできる環境を構築している。
C社及びP社のネットワーク構成（抜粋）を図1に示す。
図の説明テキスト
中央に「インターネット」、下部に「広域イーサネット」が配置され、各拠点が接続されているネットワーク図。
- インターネットには、C社のFW1、C社販売店の販売店PC、P社販売店の販売店PC、P社従業員自宅の自宅PC、P社のVPNルータが接続されている。
- C社内にはFW1、FW2があり、内部にDMZセグメント（Webサーバ）、バックアップセグメント（NAS）、業務セグメント（APサーバ、DBサーバ、PC-C、PC-S、PC-R）がある。
- P社内にはVPNルータ、FW3があり、業務セグメント（PC-P）がある。
- C社のFW2とP社のFW3は広域イーサネットを介して接続されている。
- 図の左下に「FW：ファイアウォール」という注記がある。
C社FW1, FW2及びP社FW3の許可ルール（抜粋）を表1に示す。
図の説明テキスト
| 機器 | 送信元 | 送信先 | プロトコル/ポート番号 |
|---|---|---|---|
| FW1 | インターネット | DMZ セグメント | TCP/443 (HTTPS) |
| FW1 | Web サーバ | AP サーバ | TCP/80 (HTTP) |
| FW1 | Web サーバ | バックアップセグメント | TCP/22 (SSH) |
| FW1 | AP サーバ, DB サーバ | バックアップセグメント | TCP/22 (SSH) |
| FW2 | P 社の業務セグメント | C 社の業務セグメント | TCP/3389 (RDP) |
| FW3 | P 社の業務セグメント | C 社の業務セグメント | TCP/3389 (RDP) |
注記 FW1, FW2 及び FW3 は，応答パケットを自動的に通過させる，ステートフルパケットインスペクション機能をもつ。
C社各サーバにはマルウェア対策ソフトウェアがインストールされている。C社各サーバのデータは，毎日午前0時30分〜午前1時30分の間にバックアップを行う。月曜日にデータのフルバックアップを行い，火曜日から日曜日まではデータの差分バックアップを行っている。NASには月曜日を起点として最大7日分のバックアップを1世代分保存しており，次の世代のデータは前の世代のデータに上書き保存される。また，C社各サーバのシステムバックアップもNASに保存している。
C社及びP社の各PC，各サーバ及びネットワーク機器のログは各機器内部に保存しており，ログのサイズが最大値に達した場合は，最も古い記録から上書きする設定になっている。
C社の各PC及び各サーバはログインのロックアウトのしきい値を5回に設定している。
〔セキュリティインシデントの発生〕
ある月曜日の午前9時頃，C社のシステム部門に，C社販売店から販売管理システムが利用できないとの報告があった。システム部門のR主任が販売管理システムを調査したところ，C社各サーバのデータが暗号化されていることが判明した。
R主任は外部のセキュリティ会社であるU社に連絡してインシデントの調査を依頼した。U社のX氏から“①電磁的記録の証拠保全，調査及び分析を行うので，C社内のインターネットと広域イーサネットに接続しているネットワークを遮断した後，全てのPCの使用を停止してください”との要請があり，R主任は要請に従った。
〔セキュリティインシデントの調査〕
X氏から “PC，サーバ及びネットワーク機器のログを分析した結果，侵入者は次の(1)〜(4)の順序で攻撃したことが判明した” と報告があった。
- インシデントの報告日の午前3時15分に，PC-PからPC-Rにログインした。
- PC-Rと同じパスワードのログインIDがPC-Sに存在していた。PC-Rのログインに利用したパスワードで，PC-Sにリバースブルートフォース攻撃を行い，PC-Sにログインした。
- “社内システム担当がサーバにログインする際に利用したIDとパスワードを，PC-Sのメモリ上に保存してしまう” というPC-SのAPソフトウェアの脆弱性を利用して，C社各サーバにログインした。
- C社各サーバのマルウェア対策ソフトウェアのプロセスを強制終了して，ランサムウェアを実行した。
X氏は “侵入経路であるP社の機器もC社と同様に電磁的記録の証拠保全，調査及び分析を行う必要があるので，P社へ連絡するように” とR主任に要請した。
X氏がPC-P及びP社のネットワーク機器を調査したところ，次の状況が判明した。
- VPNルータには認証に関する脆弱性があった。
- 攻撃に利用されたPC-PのIDとパスワードはPC-Rと同一であった。
- PC-PのIDは “admin”，パスワードは “password123456” であった。
- PC-Pへは “administrator” のIDに対して異なるパスワードで約1万回ログインに失敗した後，“admin” のIDに対して異なるパスワードで150回ログインに失敗し，151回目でログインに成功していた。
X氏は “侵入者はVPNルータの脆弱性を利用して，認証情報を取得した上でVPN接続を行い，PC-Pへ a 攻撃を行い侵入した後， b でPC-Rへログインした可能性が高い。PC-Pのログインに関する設定がPC-Rと異なっていたので， a 攻撃を防げずに侵入されたと推測される。” とR主任へ報告した。
〔暫定対応及びシステムの復旧〕
侵入経路と原因が判明したので，R主任及びP社は次の暫定対応を実施し，C社各サーバのシステム及びデータをバックアップデータから復旧の上，販売管理システムの利用を再開した。
- VPNルータとPC-SのAPソフトウェアに，脆弱性に対応した修正プログラムを適用した。
- PC及びサーバのIDとパスワードを推測が困難で複雑なものへ変更した。
- ②今回と同様の攻撃を防御するために，PC-Pの設定を変更した。ただし，パスワードが漏えいし，リバースブルートフォース攻撃を受けた場合は，このPC-Pの設定変更では防御できないおそれがあるので，PC-Rへのリモートデスクトップでのログインは，P社からの利用申請を受けてC社が許可したときだけ可能とするルールを設けることにした。
〔U社からC社への報告〕
U社はC社へ，C社の課題をまとめて報告した。C社の課題（抜粋）を表2に示す。
図の説明テキスト
| 項番 | 課題 |
|---|---|
| 1 | C社に接続するP社のPC及びネットワーク機器について，機器管理や脆弱性管理ができていない。 |
| 2 | 侵入者が特権IDでログインし，今回のようにC社各サーバで操作を行った場合，マルウェアの検知ができなくなる。 |
| 3 | インシデントの報告日の前日にランサムウェアに感染して暗号化されていた場合，③バックアップデータからの復旧に問題が生じたおそれがある。また，NASに侵入されてバックアップデータが暗号化されるリスクもある。 |
| 4 | 一定期間に大量の攻撃を受けた場合，④過去に発生した事象が調査できなくなるおそれがある。 |
〔課題に対する対策〕
R主任は，課題に対して次の対策案を検討した。
- 項番1の対策として，C社に接続するP社のPC及びネットワーク機器の情報をP社から提供してもらい，機器の一覧を作成する。また，P社に運用ルールの作成を依頼し，作成してもらった運用ルールが適切であることを確認する。
- 項番2の対策として，R主任を特権ID管理者とし，R主任が許可した場合だけ，特権IDを利用可能にする運用ルールを作成する。また，R主任が許可した場合には，特権IDにワンタイムパスワードを設定し，利用者に払い出す仕組みを導入する。
- 項番3の対策として，バックアップデータが暗号化されないように，NASに加えて，cバックアップに対応したストレージにバックアップデータを保存する。また，バックアップデータは3世代分保存する。
- 項番4の対策として，ログサーバを設置し，PC，サーバ及びネットワーク機器のログを保存する。
R主任は，C社内の再発防止会議で対策案の報告を行い，対策案は承認された。
設問と解答・解説
設問1
本文中の下線①の調査方法の名称を，片仮名12字以内で答えよ。
模範解答
デジタルフォレンジックス
採点基準(配点 2点)
知識・理解度（内容）(1点)
- 1点: インシデント発生原因の調査において、機器の保全や解析を行う手法がデジタルフォレンジックスであることを理解している。
- 0点: 調査手法の名称として不適切な解答、または無解答。
論理性（構造）(1点)
- 1点: 要求された字数内で、用語の表記（片仮名）を誤りなく正確に記述している。
- 0点: 用語の表記に誤りがある、または指定された形式を満たしていない。
解説
サプライチェーン攻撃におけるインシデント発生時に、原因調査や侵入経路の特定を行うための専門的な調査手法はデジタルフォレンジックス（Digital Forensics）と呼ばれます。
高得点のポイント
- デジタル機器から法的証拠となるデータを収集・分析する調査手法の名称を正確に記述できていること。
- 指定された文字数（片仮名12字以内）を満たしていること。
設問2
(1)
本文中の空欄aに入れる適切な字句を答えよ。
模範解答
選択肢オ: 辞書
配点 2点
解説
攻撃者が不正アクセスを試みる手法の一つについて問われています。ここでは特定のIDに対してよく使われる単語などのリストを用いてログインを試みる手法であるため、辞書攻撃が該当します。
各選択肢の解説
- ア (HTTP): Web通信のプロトコルであり、攻撃手法ではありません。
- イ (HTTPS): 暗号化されたWeb通信のプロトコルです。
- ウ (RDP): リモートデスクトッププロトコルであり、攻撃手法ではありません。
- エ (SSH): セキュアなリモートアクセスのためのプロトコルです。
- オ (辞書): 正解。パスワードとしてよく使われる単語リスト（辞書）を用いてログインを試行する攻撃です。
- カ (中間者): 通信経路の途中に介在してデータを盗聴・改ざんする攻撃です。
- キ (パスワードスプレー): よく使われる1つのパスワードを多数のアカウントに対して試行する攻撃です。文脈から単語リストを利用する攻撃として「辞書」が適切です。
- ク (リプレイ): 過去の通信データをそのまま再送信して不正に認証を突破する攻撃です。
(2)
本文中の空欄bに入れる適切なプロトコル名を答えよ。
模範解答
選択肢ウ: RDP
配点 2点
解説
ランサムウェア攻撃などの侵入経路として、インターネットに公開されたままになっているリモート操作用のプロトコルが狙われるケースが頻発しています。この目的に該当するプロトコルはRDP（Remote Desktop Protocol）です。
各選択肢の解説
- ア (HTTP): 暗号化されていないWeb通信プロトコルであり、通常のリモートPC操作用ではありません。
- イ (HTTPS): 暗号化されたWeb通信プロトコルです。
- ウ (RDP): 正解。Windowsにおけるリモートデスクトップ接続のためのプロトコルであり、設定不備により攻撃の標的となりやすいです。
- エ (SSH): 主にCUIでのリモートアクセスに用いられるセキュアなプロトコルです。
- オ (辞書), カ (中間者), キ (パスワードスプレー), ク (リプレイ): これらはプロトコルではなく、攻撃手法の名称です。
設問3
本文中の下線②について答えよ。
(1)
変更した設定項目を，本文中の字句を用いて15字以内で答えよ。
模範解答
ロックアウトのしきい値
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 本文中から「ロックアウトのしきい値」を過不足なく正確に抜き出している。
- 1点: 関連する字句を含んでいるが、不要な文字が含まれている、あるいは一部不足しているなど、正確な抜き出しになっていない。
- 0点: 全く異なる箇所を抜き出している、または無解答。
解説
パスワードリスト攻撃やブルートフォース攻撃に対する対策として、一定回数連続してログインに失敗した場合にアカウントをロックする設定を行います。本文中からこれに該当する字句を抜き出します。
高得点のポイント
- 本文中に記載されている連続ログイン失敗時のアカウントロックに関する設定項目「ロックアウトのしきい値」を正確に抜き出していること。
- 指定された15字以内の条件を満たしていること。
(2)
また，防御できないおそれがある理由を，“同一”という字句を用いて25字以内で答えよ。
模範解答
同一のIDで2回以上ログイン試行しないから
同一のパスワードで異なるIDにログイン試行するから
採点基準(配点 3点)
知識・理解度（内容）(2点)
- 2点: リバースブルートフォース攻撃において、同一のIDに対して連続してログイン試行が行われない、または同一パスワードで異なるIDに対して試行されるという性質を正しく理解し記述している。
- 1点: 攻撃の性質について言及しているが、理解が不十分または記述が曖昧である。
- 0点: 攻撃の性質を理解していない、または的外れな記述。
論理性（構造）(1点)
- 1点: ロックアウトで防御できない理由として因果関係が明確に示されている。
- 0点: 因果関係が不明確、または論理が破綻している。
解説
リバースブルートフォース攻撃は、特定のパスワードに対して多数のID（ユーザー名）を試行する攻撃手法です。「同一のIDに対して複数回ログインを試行する」わけではないため、アカウントロック機能（ロックアウトのしきい値）では防ぐことが困難です。
高得点のポイント
- リバースブルートフォース攻撃の性質（同一のパスワードで異なるIDを試行する）を理解していること。
- 同一のIDに対する連続試行が行われないため、ロックアウトのしきい値に達しないというメカニズムを論理的に説明していること。
- 指定された「同一」という字句を用いていること。
設問3の“理由”は，正答率が低かった。リバースブルートフォース攻撃の理解が不十分と思われる解答が散見された。ログインのロックアウトのしきい値を設定することは，同一のIDに対して連続してログインを試行する攻撃には有効である。ただし，パスワードが漏えいして，リバースブルートフォース攻撃を受けた場合は同一のIDで2回以上ログインを試行することはないので，しきい値に達する前にログインされてしまうおそれがある。様々な攻撃に対応した防御を行うことが重要である。
設問4
〔U社からC社への報告〕について答えよ。
(1)
表2中の下線③について，バックアップデータに発生していたおそれがある事象を30字以内で答えよ。
模範解答
暗号化されたデータで上書きされている。
採点基準(配点 3点)
知識・理解度（内容）(2点)
- 2点: ランサムウェアによる暗号化の影響がバックアップデータに及び、暗号化されたデータで上書きされた事象を正しく理解している。
- 1点: データの破壊や上書きには言及しているが、「暗号化された」というランサムウェア特有の事象への言及が欠けている。
- 0点: 事象を正しく把握できていない。
論理性（構造）(1点)
- 1点: バックアップデータに何が起きたかについて、主語と述語の対応が明確で簡潔に記述されている。
- 0点: 文章の構造が不明確、または意味が通じない。
解説
ランサムウェアに感染すると、システム上のファイルが暗号化されます。この状態で通常のバックアップ（同期など）が実行されてしまうと、バックアップ先の正常なデータも、暗号化された異常なデータで上書きされてしまうリスクがあります。
高得点のポイント
- ランサムウェアの被害によって元データが暗号化されている状況を理解していること。
- その暗号化されたデータによって、バックアップデータが上書きされている事象を記述できていること。
(2)
表2中の下線④について，調査ができなくなる理由を20字以内で答えよ。
模範解答
古い記録のログが上書きされるから
採点基準(配点 3点)
知識・理解度（内容）(2点)
- 2点: ログが一定期間・容量で上書きされる性質（ログローテーション）により、調査に必要な過去の記録が消失することを正しく理解している。
- 1点: ログの消失については言及しているが、「上書きされる」というメカニズムの理解が曖昧である。
- 0点: 調査できなくなる理由を正しく把握できていない。
論理性（構造）(1点)
- 1点: ログの上書きと調査不能という結果の因果関係が論理的に記述されている。
- 0点: 因果関係が不明確、または文意が通らない。
解説
ログは通常、ストレージ容量の圧迫を防ぐために一定の容量や期間を超えると古いものから順に上書き（ローテーション）されていきます。インシデント発生から時間が経過すると、攻撃当時の痕跡を示すログが消失してしまうため、調査が困難になります。
高得点のポイント
- ログの記録容量や期間には制限があることを前提として理解していること。
- 時間の経過に伴い、インシデント当時の古いログが上書き（消失）されてしまうため調査ができなくなるという理由を記述していること。
設問5
本文中の空欄cに入れる適切な字句を解答群の中から選び，記号で答えよ。
模範解答
選択肢ア: イミュータブル
配点 2点
解説
バックアップデータ自体がランサムウェアによって暗号化・改ざんされるのを防ぐためには、一度書き込んだデータを後から変更・削除できない仕組みが必要です。このような性質を持つストレージはイミュータブル（不変）ストレージと呼ばれます。
各選択肢の解説
- ア (イミュータブル): 正解。データの変更や削除が不可能な状態（不変性）を指し、ランサムウェア対策として有効です。
- イ (インクリメンタル): 増分バックアップのことです。前回バックアップ時から変更されたデータのみを保存する手法であり、改ざん防止機能ではありません。
- ウ (ディファレンシャル): 差分バックアップのことです。初回フルバックアップ時から変更されたデータを保存する手法です。
- エ (マルチプル): 多重化などを意味する言葉ですが、データの不変性を示す用語ではありません。
設問5は，正答率が低かった。バックアップを保存していても，バックアップデータ自体が攻撃対象となって書き換えられてしまうと，システムの復旧ができなくなってしまう。バックアップデータの保護には，書き込んだデータが変更できないストレージを採用することが有効であることを理解してほしい。